Den nye Rejsekort-app sporer brugernes fysiske placering under rejsen – bl.a. for at beregne billetprisen. Appen er let at anvende, og brugerne undgår f.eks. at skulle checke ind igen, når de skifter transportmiddel undervejs.
Men man kan risikere fortsat at blive sporet, selvom rejsen er slut, hvis man glemmer at checke ud – og hvis man ikke har aktiveret appens automatiske funktioner. Det betyder, at Rejsekort & Rejseplan A/S potentielt kan indsamle oplysninger om, hvor man bevæger sig hen, også uden for den kollektive transport. Hvis man f.eks. går til speciallæge, deltager i gudstjeneste eller skal til møde hos sin fagforening, er det ikke sikkert, at man ønsker at dele denne information med virksomheden bag Rejsekortet.
Det centrale spørgsmål er derfor, om Rejsekort & Rejseplan A/S indsamler flere oplysninger om brugerne, end hvad der er nødvendigt for at kunne levere en digital billetteringsløsning.
Hvad har Datatilsynet foretaget sig?
Datatilsynet har bedt Rejsekort & Rejseplan A/S om at besvare en række spørgsmål om appens funktionalitet og tekniske opbygning. Virksomheden har fremsendt flere redegørelser til Datatilsynet.
Databeskyttelsesforordningen er en EU-forordning, og reglerne skal anvendes og fortolkes ensartet på tværs af medlemsstaterne. Datatilsynet har derfor indhentet uformelle udtalelser fra en række europæiske tilsynsmyndigheder for at høre, om de har erfaring med lignende billetløsninger baseret på lokationssporing – og for at afklare, om den konkrete løsning efter deres opfattelse er i strid med reglerne.
Hvorfor er sagen ikke afsluttet – og hvad sker der nu?
De uformelle svar fra de europæiske tilsyn har ikke givet et entydigt billede. Derfor har Datatilsynet – med godkendelse fra Datarådet – besluttet at indhente en formel udtalelse om sagen fra Det Europæiske Databeskyttelsesråd.
Datatilsynet arbejder nu på den formelle anmodning, som vil blive sendt afsted snart. Det forventes dog, at der vil være længere sagsbehandlingstid i Det Europæiske Databeskyttelsesråd, og Datatilsynet regner ikke med at modtage svar før sommerferien.
Når svaret foreligger fra Det Europæiske Databeskyttelsesråd, skal Datatilsynet tage stilling til sagen på ny. Den endelige afgørelse træffes i Datarådet, som er Datatilsynets højeste organ.
Hvad kan sagen ende med?
Datatilsynet skal tage stilling til, om Rejsekort-appen overholder databeskyttelsesforordningens regler om ”dataminimering” og ”databeskyttelse gennem design”.
Hvis Datatilsynet vurderer, at appen indsamler for mange oplysninger, kan det føre til kritik, politianmeldelse eller påbud om at bringe løsningen i overensstemmelse med reglerne. Det kan også vise sig, at der ikke er grundlag for kritik – i så fald sker der ikke yderligere.
Det er vigtigt at understrege, at Datatilsynet endnu ikke har taget stilling til, om appen er i overensstemmelse med databeskyttelsesreglerne. Appen kan derfor fortsat anvendes.